Microsoft Office (stari) binarni formati (.doc,.xls,.ppt...)

Transcription

1 SVEUČILIŠTE U ZAGREBU FAKULTET ELEKTROTEHNIKE I RAČUNARSTVA SEMINAR Microsoft Office (stari) binarni formati (.doc,.xls,.ppt...) Marina Brebrić Predmet: Računalna forenzika 2016./2017. Zagreb, siječanj, 2017.

2 Sadržaj 1. Uvod Glavni sigurnosni propusti VBA macroi Ugrađeni OLE objekti Ranjivosti u Microsoft Office aplikacijama Formule u tabličnim datotekama Korisni alati i biblioteke Za analizu Parsing tools and libraries Za filtriranje Zaključak Literatura... 12

3 1. Uvod Tema ovog seminara su stari Microsoft Office binarni formati (.doc,.xls,.ppt), analiza tih formata, analiza sigurnosnih propusta i razloga zašto su zamijenjeni xml formatom datoteka. Osim slika, u svakodnevnoj upotrebi većine korisnika najčešći tip datoteke su upravo Office dokumenti. Iako još uvijek dosta ljudi koristi binarne formate, većina se sa novim verzijama Officea neprimjetno prebacila na xml formate. Kao i sve u računalnoj tehnologiji, tijekom godina se otkriva sve više i više sigurnosnih i drugih propusta. Jedna od mana binarnih formata je da se samo otvaranjem dokumenta u hex editorima moglo otkriti mnogo podataka, poput lozinke kojom je zaštićen dokument ili vrsta enkripcije nad dokumentom. Osim tog aspekta, jedna od glavnih nesigurnosti kod starih Office formata (a i novih) su VBA Macroi Office dokumenti su ih učitavali bez prethodne provjere, a skripte pisane u njima nisu uvijek imale dobroćudne namjere. 1

4 2. Glavni sigurnosni propusti 2.1 VBA macroi Macroi su mali programi koji se pokreću unutar Office dokumenata i trebali bi pomagati kod automatizacije ponavljajućih procesa. Macro se može definirati kao snimka serije zadataka snimanjem koraka kojim želite da se nešto izvrši i program će ih slijediti. Naravno, osim snimanja zadataka, moguće je i pisati kod u VBA (Visual Basic for Applications) gdje je moguće izvršavati daleko kompleksnije radnje. Upravo pisanje koda u VBA je najslabija točka u Office programima. Ne postoje ograničenja što se sve može napraviti s njima. Primjerice, moguće je napisati Macro koji će se ponašati kao keylogger 1 [3] ili kao malware 2 virus. Jednom kada žrtva otvori dokument 3, kod zapisan u macrou može vrtjeti proizvoljne naredbe na sustavu korisnika, uključujući one koje pokreću programe i koje komuniciraju preko mreže. Primjerice, alat za penetracijsko testiranje Metasploit [4] ima set prilično jednostavnih uputa pomoću kojih je moguće generirati skup podataka koje napadači mogu unijeti u Office dokument kao VBA macro. Zabrinjavajuć je i komentar na stranici kako ovakvu vrstu napada antivirusni programi ne mogu prepoznati! Upute slijede: 1. Koristeći Metasploit, pokreće se naredba kojom se generira skripta za prikupljanje podataka od korisnika 1 Računalni program koji snima svaku tipku koju je korisnik pritisnuo, većinom u svrhu neovlaštenog prikupljanja lozinki i ostalih povjerljivih podataka 2 Računalni program koji je stvoren s namjerom da prekine, ošteti ili dobije neovlašteni pristup računalnom sustavu. 3 u novijim verzijama Office programa su macroi onemogućeni pri pokretanju, korisnik je taj koji ih treba omogućiti 2

5 Slika 1. Prikaz stvaranja zloćudne skripte [4] 2. Zloćudna skripta se nalazi u dva dijela jedan koji se treba dodati kao macro na dokument, a druga koja se dodaje na kraj sadržaja dokumenta. 3. Jednom kada je stvoren dokument i dodana je VBA skripta i sadržaj u njega, za client-side napad je dovoljno žrtvi poslati dokument 4. Dodatna uputa je da se u dokument stavi jedna od mnogih dostupnih igara koje se mogu igrati preko Word/Excel dokumenata kako žrtva ne bi ništa posumnjala 5. Jednom kada žrtva otvori dokument i omogući macroe, napadač može bez smetnje prikupljati njezine podatke preko Meterpreter ljuske otvorene na žrtvinom računalu Slika 2. Prikaz dohvaćenih podataka pomoću zloćudnog dokumenta [4] Iako novije verzije Officea pri pokretanju dokumenata onemoguće sve macroe, moguće je preko tehnika socijalnog inženjeringa navesti žrtvu da klikne gumb koji će omogućiti ugrađenom macrou da se pokrene i inficira sustav. 3

6 Slika 3. Upozorenje na novijim verzijama Officea o isključenim macroima 2.2 Ugrađeni OLE objekti OLE (Object Linking and Embedding) dozvoljava aplikaciji za uređivanje da izdvoji (eng. export) dio dokumenta drugoj aplikaciji za uređivanje i da ju ponovno uključi (eng. import) sa dodatnim sadržajem. Glavna prednost OLE jest mogućnost dodavanja različitih vrsta podataka u dokument iz različitih aplikacija, poput uređivača slika i uređivača teksta. To stvara dokument složenog binarnog formata i glavnu datoteku na koju se document referencira. Promjene podataka u glavnoj datoteci su odmah vidljivi i u dokumentu koji ju referencira. Glavna uloga OLE je upravljanje složenim binarnim formatom datoteka, no također se koristi i za prijenos podataka između različitih aplikacija koristeći drag&drop i clipboard operacija.[5] U novije vrijeme, moguće je naići na OLE uključene objekte i sadržaj okružene sa dobro formatiranim tekstom i slikama koje potiču korisnika da omoguće objekt ili sadržaj te na taj način pokrenu zloćudan kod. Dosad otkrivene datoteke koristile su zloćudne Visual Basic i JavaScript skripte ubačene u dokument. Kada korisnik klikne na objekt, pojavljuje se upozorenje koje pita korisnika želi li nastaviti s radnjom ili ne. Ako korisnik odabere nastavak radnje (klikom na Open), zloćudna skripta se pokreće i bilo koji tip infekcije se može pojaviti. Slika 4. Upozorenje pita korisnika želi li pokrenuti skriptu ili ne [6] 4

7 Važno je napomenuti da su korisnička interakcija i privola preduvjet kako bi se izršio zloćudan kod. Ako korisnik ne omogući ili ne klikne na objekt kod se neće pokrenuti i neće doći do infekcije. Stoga je educiranje korisnika bitan dio ublažavanja problema kao što je slučaj i sa spam mailovima, sumnjivim web stranicama i nepotvrđenim aplikacijama. Ne klikati na poveznicu, omogućiti sadržaj ili pokretati program osim ako mu se apsolutno vjeruje i može mu se potvrditi izvor. Primjer na slici 5. prikazuje koliko je jednostavno ubaciti zloćudan kod, uz korištenje formata kao da se radi o CAPTCHA alatu, da se navede korisnika na omogućavanje objekta. Slika 5. Poziv na omogućavanje objekata (VB skripta) [6] Ikona koja se koristi za označavanje objekta ili sadržaja može biti bilo što. Može biti potpuno drugačija ikona koja nema nikakve veze sa skriptnim jezikom koji se koristi autori mogu koristiti bilo koje slike i bilo koji tip (primjer na slici 6.). 5

8 Slika 6. Varijanta sa ugrađenim objektom [6] Ovdje navedeni primjeri su sadržavali Trojan viruse sa ransomwareom. 4 VB skripte skinule bi kriptirane binarne datoteke, zaobilazeći svu mrežno-orijentiranu zaštitu predviđenu da prepozna zloćudne formate i blokira ih, dekriptirale bi te datoteke i onda ih pokrenule. 4 Datoteke skinute klikom na objekte : TrojanDownloader:VBS/Vibrio i TrojanDownloader:VBS/Donvibs, dekriptirana datoteka: Ransom:Win32/Cerber. 6

9 Slika 7. Pimjer enkriptirane datoteke [6] Slika 8. Dekriptirana Win32 exe datoteka [6] 7

10 2.3 Ranjivosti u Microsoft Office aplikacijama U dokumentaciji za.doc,.ppt i.xls formate postoji mnogo primjera gdje se korištenjem samo hex editora mogla napraviti šteta.[7][8][9] Primjerice: Ukoliko nije definirana lozinka za enkripciju u Excelu, dokument je enkriptiran sa defaultnom lozinkom "\x56\x65\x6c\x76\x65\x74\x53\x77\x65\x61\x74\x73\x68\x6f\x70" U zadani set byteova Word sprema ili vrijeme kada je dokument stvoren ili podatak kada su izbrisani privatni podaci. Također sprema i podatak o tome jesu li privatni podaci izbrisani iz dokumenta. Zajedno sa instalacijom Word-a, instaliran je i poseban prazan dokument preko kojeg se stvaraju svi ostali Word dokumenti (preko Create new document naredbe) Ako se koristila lozinka za zaštitu od neovlaštenog pisanja u dokument, lozinka je bila vidljiva u cleartextu 5 unutar binarnih podataka dokumenta Drugi način za izvršavanje zloćudnog koda kao dio Office dokumenta uključuje iskorištavanje ranjivosti u samoj Office aplikaciji. Trik je navesti ciljanu aplikaciju u izvršavanje napadačevog koda, što je najčešće bilo skriveno unutar Office dokumenta kao shellcode 6. U ovom se slučaju mora iskoristiti Office kao pokretač napadačevog koda. Primjerice, ranjivost CVE je mogla omogućiti napadaču stvaranje zloćudne Excel datoteke koja ima ranjivost pomoću koje se može preuzeti kontrola nad napadnutim sustavom. 2.4 Formule u tabličnim datotekama Osim macroa koji su specifični za sve Office aplikacije, također postoje i formule unutar Excel (.xls i.csv) aplikacije koje mogu biti zanimljive za napadače jer mogu otvarati URL poveznice, pokretati kod ili druge datoteke. Bilo koja ćelija koja počinje sa znakom = se tretira kao formula. Primjerice, ukoliko neka online trgovina dopušta administratorima da spreme podatke o svim nedavnim 5 Text koji nije ni na koji način enkriptiran ili zaštićen 6 malen isječak koda koji pokreće komandnu liniju preko koje napadač može izvršavati naredbe 7 8

11 kupovinama u.xls formatu, ukoliko zloćudan kupac kupi proizvod i stavi da mu je dostavna adresa sljedeća: =HYPERLINK(" please click for further information") Slika 9. Primjer zloćudne formule Datoteka kod administratora će imati ćeliju sa idućim sadržajem: Slika 10. Izgled ćelije sa zloćudnom formulom Ako administrator klikne na tu ćeliju, nepovratno će poslati podatke iz ćelija A1 i A2 na adresu što može uključivati podatke o plaćanju od drugih korisnika. 9

12 3. Korisni alati i biblioteke 3.1 Za analizu python-oletools: paket python alata za analizu OLE datoteka temeljenih na olefile, uglavnomm za malware analizu i debagiranje. Uključuje olebrowse, grafički alat za pregled i izvlačenje OLE streamova, oleid za brzu identifikaciju karakteristika zloćudnih dokumenata, olevba za izvlačenje izvornog koda VBA macroa, olemeta izvlačenje metadata podataka, oletimes za izvlačenje timestamp 8 i pyxswf za izvlačenje Flash objekata (SWF) iz OLE datoteka. SSView: vizualni Microsoft OLE2 datotečni parser i program za uređivanje. OfficeCat: za otvrivanje mnogih poznatih exploita 9. OfficeMalScanner: za analizu sumnjivih Office dokumenata i izvlačenje VBA macroa. OffVis: Microsoft alat za analizu sumnjivih Office dokumenata. pyolescanner: alat za analizu malwarea officeparser: Python alat za parsiranje OLE datoteka i izvlačenje VBA macroa. oledump: python alat za izvlačenje izvornog koda VBA macroa, otkrivanje ubačenih EXE datoteka py-office-tools: skup python skripti korištenih za prikaz podataka unutar Excel i PowerPoint datoteka 3.2 Parsing tools and libraries olefile : Python modul za parsiranje, čitanje i pisanje OLE2 datoteka. xlrd/xlwt: Python moduli za čitanje i stvaranje (ne uređivanje) Excel datoteka. POIFS: Java library za čitanje i pisanje OLE2 datoteka. ruby-ole: Ruby library za čitanje i pisanje OLE2 datoteka. Rex::OLE: Ruby library za čitanje, pisanje i stvaranje OLE2 datoteka. libolecf / pyolecf: C library sa python wrapperom za parsiranje i čitanje OLE2 datoteka, u forenzičke svrhe. compoundfiles: Python paket za parsiranje i čitanje OLE2 datoteka. LibForensics: Python library koji uključuje OLE parser. 3.3 Za filtriranje ExeFilter za čišćenje Office datoteka uklanjanjem macroa i OLE Package objekata. 8 Vremenska oznaka 9 Ranjivost za koju je napravljen zloćudan program/kod 10

13 4. Zaključak Iako su binarni Office formati polagano izašli iz upotrebe, neke ranjivosti koje dolaze sa macro i OLE objektima su i dalje prisutne i kod xml formata. Macroi su po tom pitanju jako zanimljivi u starijim binarnim formatima su se pokretali automatski i bez provjere pa su bili dosta teški za uopće uočiti, dok se u novijim formatima onemogućuju i korisnik ih sam mora pokretati. Na neki način se odgovornost u potpunosti prebacila na korisnika ukoliko nije oprezan može si stvoriti jako velike probleme, od keyloggera, malwarea pa sve do ransomwarea 10. Također je zanimljivo da se Microsoft odlučio zadržati te opcije unutar svojih aplikacija iako zloćudni korisnici stalno nalaze nove načine za ugrožavanje i napadanje tuđih sustava preko njih. To je jedno i od pitanja koje se stalno pojavljuje u računarstvu treba li ukloniti neku opciju zbog nekolicine zloćudnih korisnika ili ostaviti zbog koristi koje može imati za većinu običnih korisnika? Dokle god postoje macroi i OLE objekti, sve i da zanemarimo druge prednosti koje dolaze sa xml Office formatom, sigurnost je dovoljan razlog za prebacivanje s binarnih formata. 10 Vrsta napada gdje se malware instalira na žrtvino računalo, postepeno enkriptira sve podatke na njemu i zahtjeva otkupninu (odtud naziv) kako bi se podaci dekriptirali ili kako se ne bi prikazali javnosti 11

14 5. Literatura 1. Weaponized File Formats 2. Mikoluk Kasia, Excel Macros Tutorial: How to Create a Simple Macro in Excel Potential Danger Risks Involved with Microsoft Excel VBA - Password Sniffers Key Loggers etc 4. Metasploit, VBScript infection methods 5. Object linking and embedding 6. Where s the Macro? Malware authors are now using OLE embedding to deliver malicious files 7. Službena Microsoft.ppt dokumentacija 8. Službena Microsoft.doc dokumentacija 9. Službena Microsoft.xls dokumentacija 12